Ką išpirkos programa daro dokumentų valdymo sistemai
Išpirkos programa užšifruoja failus, prie kurių turi prieigą, o tada reikalauja išpirkos už raktą. Dokumentų valdymo sistemoje ji veikia su užkrėstos paskyros ar kompiuterio teisėmis. Žalą didina trys mechanizmai:
- sinchronizavimas: užkrėstas kompiuteris užšifruoja savo vietinę kopiją, tada sinchronizavimo klientas išsiunčia užšifruotus failus į serverį kaip įprastą pakeitimą, o iš ten – į kitus įrenginius;
- istorija: kiekvienas užšifruotas failas tampa nauja versija. Ankstesnė versija gali išgelbėti padėtį, nebent užpuolėjas turi pakankamai teisių išvalyti istoriją ir šiukšlinę;
- atsarginės kopijos: ANSSI pastebi, kad užpuolėjas dažnai siekia užšifruoti, ištrinti ar padaryti nepasiekiamą atsarginių kopijų infrastruktūrą, kad sistemos nebūtų galima atkurti.
Kai kurios atakos prieš užšifruodamos duomenis juos ir nukopijuoja. Atkūrimas grąžina failus į tvarkingą būseną. Jis neišsprendžia šios dalies, kuri priklauso krizių valdymui, o jei yra asmens duomenų – ir BDAR sričiai.
Sumažinti veikimo spindulį
Negalima pažadėti, kad joks kompiuteris nebus užkrėstas. Galima apriboti, ką užkrėstas kompiuteris ar paskyra gali pasiekti.
Rašymo teisės
Paskyra, kuri aplanką gali tik skaityti, negali jo užšifruoti. Pamatiniai aplankai (šablonai, procedūros, pasirašytos sutartys) daugumai žmonių gali būti tik skaitomi. Teisės nustatomos pagal grupę ir aplanką, o ne principu „visi keičia viską“.
Administravimo paskyros
ANSSI rekomenduoja šias paskyras apriboti iki būtino minimumo. Jos turi būti asmeninės, apsaugotos dviejų veiksnių autentifikavimu ir nenaudojamos kasdieniam darbui.
Išorinės nuorodos
Nuoroda, suteikianti nepažįstamajam keitimo teisę, yra durys. Į išorę siunčiamos nuorodos turi slaptažodį, galiojimo pabaigos datą ir paprastai tik skaitymo teisę.
Sinchronizuojami kompiuteriai
Kiekviename kompiuteryje sinchronizuokite tik reikalingus aplankus. Jautrius aplankus palikite naršyklėje. Atnaujinimus diekite greitai: ANSSI primena, kad itin svarbu tai daryti per trumpą laiką ir pagal kontroliuojamą procesą. Dažniausiai įsiskverbiama per el. paštą: žr. priedai, nuorodos ir išpirkos programos el. laiškuose.
Kodėl atsarginė kopija turi būti nepasiekiama
Atsarginė kopija, pasiekiama ta pačia paskyra kaip gamybinė aplinka, bus užšifruota kartu su ja. Ją apsaugo trys atskyrimai:
- kitas prisijungimo vardas: ANSSI reikalauja asmeninių, tam skirtų atsarginių kopijų administravimo paskyrų ir nuo gamybinių katalogų nepriklausomos infrastruktūros;
- nekeičiamumas: įrašytos atsarginės kopijos nebegalima pakeisti ar ištrinti visą jos saugojimo laiką;
- kita vieta ir, jei įmanoma, neprisijungusi kopija: ANSSI ją laiko būtina ir patikimesne už prisijungusią nekeičiamą atsarginę kopiją.
Lieka gylio klausimas. Įsilaužimas gali kelias savaites likti nepastebėtas iki užšifravimo. Jei saugojimo trukmė trumpesnė už šį laiką, visose turimose atsarginėse kopijose gali būti užpuolėjo pėdsakų ar jau sugadintų failų.
Atkūrimo tvarka
Atkūrimas nėra mygtukas. Tai žingsnių seka, ir tvarka svarbi.
- Sulaikyti. Atjungti užkrėstus kompiuterius nuo tinklo, sustabdyti įsilaužimo pažeistas paskyras, išjungti paveiktos srities sinchronizavimą ir išorines nuorodas. ANSSI taip pat pataria vesti veiksmų žurnalą su laiko žymomis, atjungti atsarginių kopijų laikmenas, prieš tai patikrinus, kad jos švarios, ir neišjungti kompiuterių maitinimo, nes tai gali ištrinti naudingus pėdsakus.
- Nustatyti pradžios laiką. Rasti pirmą užšifruotą failą, susijusią paskyrą ir kompiuterį. Tai nulemia atkūrimo tašką.
- Pasirinkti atkūrimo tašką prieš užšifravimą, su atsarga, jei data neaiški.
- Atkurti švarioje aplinkoje. ANSSI rekomenduoja iš naujo įdiegti sistemą iš patikimos laikmenos, o tada atkurti duomenis iš atsarginės kopijos, padarytos prieš įsilaužimą. Kai įrankis leidžia, atkuriant tik paveiktą sritį neperrašomas darbas, nuo to laiko atliktas kitur.
- Patikrinti. Atsitiktinai atidaryti failus, įsitikinti, kad neliko užšifruotų failų, pašalinti spragą, per kurią įsiskverbta, pakeisti slaptažodžius.
- Vėl atverti prieigas palaipsniui. Kompiuteriai iš naujo sinchronizuojami iš atkurto serverio, niekada atvirkščiai. Neišvalytas kompiuteris, vėl prisijungęs, išsiunčia savo užšifruotus failus.
Kartu ANSSI rekomenduoja niekada nemokėti išpirkos, išsaugoti užšifruotus duomenis (raktas gali būti paskelbtas vėliau), pateikti skundą policijai ir, jei pažeisti asmens duomenys, per krizių valdymo grupę pranešti priežiūros institucijai (Prancūzijoje – CNIL).
Kas prarandama: RPO praktikoje
Hipotetinis atvejis. Dvidešimties žmonių biuras kas valandą daro savo dokumentų atsargines kopijas. Pirmadienį 9:15 sinchronizuojamas kompiuteris pradeda šifruoti aplanką „Klientai“. Pavojaus signalas pakeliamas 10:05.
Paskutinis švarus taškas – 9:00 atsarginė kopija. Aplankas „Klientai“ grąžinamas į 9:00 būseną. Šiame aplanke tarp 9:00 ir 9:15 atlikti pakeitimai prarandami. Kituose aplankuose atlikti pakeitimai neprarandami, jei atkuriamas tik paveiktas aplankas. Sekretorė, 9:10 įrašiusi tris laiškus, randa juos savo el. pašte ir įkelia iš naujo.
Būtent tai matuoja RPO – didžiausias leistinas duomenų praradimas: tarpas tarp atkūrimo taško ir incidento. RTO – didžiausia leistina prastovos trukmė – matuoja ką kita: laiką, kol komandos vėl gali dirbti. Abu nusprendžiami prieš incidentą, o ne jo metu.
Dažnos klaidos
- Atkurti prieš sulaikant. Vis dar prijungtas kompiuteris iš naujo užšifruoja atkurtus failus.
- Iš naujo sinchronizuoti iš užkrėsto kompiuterio. Vietinė kopija yra užšifruota kopija.
- Pasikliauti šiukšline. Joje nėra pakeistų failų, tik ištrinti.
- Sužinoti saugojimo trukmę incidento dieną. Jei įsilaužta prieš šešias savaites, o saugojimo trukmė yra trisdešimt dienų, atkūrimo taško pasirinkimas tampa sudėtingas.
Dažniausi klausimai
Ar versijų pakanka prieš išpirkos programą?
Jos padeda, jei istorija nepaliesta. Jų nepakanka, jei užpuolėjas galėjo ją išvalyti. Skirtumas paaiškintas puslapyje dokumentų versijos, replikacija ir atsarginės kopijos.
Ar reikia mokėti išpirką?
ANSSI rekomenduoja niekada jos nemokėti. Sumokėjus negarantuojama nei raktas, nei tai, kad nebus naujos atakos.
Kaip apriboti, kas gali keisti aplanką?
Teisėmis pagal grupę ir aplanką. Žr. nustatyti, kas mato kuriuos dokumentus.
Kaip neleisti, kad nuoroda taptų įsiskverbimo durimis?
Naudojant slaptažodį, galiojimo pabaigos datą ir tik skaitymo teisę. Žr. bendrinimo nuorodos, partneriai ir atsisiuntimai.
Kur yra Klytic
Klytic Docs atsarginės kopijos daromos kas valandą. Jos šifruotos, nekeičiamos, replikuotos keliose vietose, stebimos, saugomos 30 dienų, o atkūrimai testuojami kas mėnesį. Siekiami tikslai – dokumentų RPO mažiau nei 2 valandos ir RTO mažiau nei 4 valandos. Atkūrimo prašoma Klytic palaikymo komandos, nurodant paveiktą sritį ir apytikslę datą. Jis įskaičiuotas, kai praradimą sukėlė Klytic paslaugos sutrikimas. Po išpirkos programos atakos ar jūsų pusėje įsilaužtos paskyros atkūrimas taip pat įskaičiuotas, jei jūsų kompiuteriai buvo tinkamai apsaugoti: įdiegti atnaujinimai, veikianti antivirusinė programa. Jei jie buvo apsaugoti nepakankamai, atkūrimas tvarkomas mokama pagalbos užklausa, kaip ir atkūrimas po netinkamo veiksmo. Išsami informacija – puslapyje saugumas ir atsarginės kopijos.
Prevencijai Klytic Docs suteikia teises pagal asmenį, grupę ir aplanką, dviejų veiksnių autentifikavimą, prieigų žurnalą ir slaptažodžiu apsaugotas nuorodas su galiojimo pabaigos data. Klytic pusėje techninė prieiga apribota eksploatavimo ir palaikymo operacijomis, yra asmeninė ir registruojama žurnale.
Ribos: trisdešimties dienų saugojimas neapima vėliau aptikto įsilaužimo. Klytic atkuria savo paslaugas; jūsų kompiuterių, tinklo ir katalogo valymas priklauso jūsų IT komandai ar paslaugų teikėjui. Klytic nėra SecNumCloud kvalifikaciją turintis pasiūlymas.
Šiame puslapyje aprašyti bendrieji principai. Incidento atveju vadovaukitės savo atkūrimo planu ir kompetentingų institucijų nurodymais.
Šaltiniai
Peržiūrėta 2026 m. spalį.
- ANSSI ir Prancūzijos teisingumo ministerija (DACG), Attaques par rançongiciels, tous concernés, 2020: atjungtos atsarginės kopijos, administravimo paskyrų ribojimas, greiti atnaujinimai; incidento atveju veiksmų žurnalas, izoliavimas, maitinimo neišjungimas, užšifruotų duomenų išsaugojimas, nemokėti, skundas, atkūrimas iš atsarginės kopijos, padarytos prieš įsilaužimą. messervices.cyber.gouv.fr
- ANSSI, Sauvegarde des systèmes d’information, gidas ANSSI-BP-100, v1.1: užpuolėjas dažnai taikosi į atsarginių kopijų infrastruktūrą; tam skirtos paskyros; neprisijungusi kopija patikimesnė už prisijungusį WORM; PDMA ir DMIA. messervices.cyber.gouv.fr
- Klytic, Saugumas ir atsarginės kopijos: nekeičiamos, šifruotos, replikuotos atsarginės kopijos, 30 dienų, kas mėnesį testuojami atkūrimai, RTO mažiau nei 4 val., RPO mažiau nei 2 val. klytic.com
- Klytic, Talpinimas ir suverenumas: techninė prieiga apribota eksploatavimu ir palaikymu, asmeninė ir registruojama žurnale. klytic.com
